Simple File List: Nicht authentifizierte beliebige Dateilöschung über Path Traversal
Zusammenfassung
Das WordPress-Plugin Simple File List bis und mit Version 6.3.11 enthält eine Path-Traversal-Schwachstelle (CWE-22), die das beliebige Löschen von Dateien erlaubt. Ein nicht authentifizierter Angreifer kann ohne Benutzerinteraktion eine manipulierte Anfrage senden und Dateien auf dem Webserver löschen, wodurch die Website unbrauchbar werden kann. Das Löschen einer kritischen Datei wie wp-config.php kann eine vollständige Übernahme ermöglichen; Wordfence stuft die Schwachstelle mit 9.1 (Critical) ein, der CVE-Eintrag nennt 8.6 (High).
Betroffen
- WordPress-Plugin Simple File List, alle Versionen bis und mit 6.3.11
- Standardinstallationen sind nur nicht betroffen, wenn das Plugin nicht installiert ist
Behoben in
Unbekannt. Es wurde kein offizieller Patch oder keine korrigierte Version gefunden. Ein inoffizieller Fork (v6.3.12) existiert, ist aber nicht verifiziert und nennt diese CVE nicht.
Umgehung
- Plugin deaktivieren und entfernen, falls die Dateilisten-Funktion nicht benötigt wird.
- Beim WAF- oder Virtual-Patching-Anbieter nachfragen, ob eine Schutzregel für CVE-2026-39792 besteht.
- Den Zugriff auf die Front-End-Endpunkte des Plugins nach Möglichkeit einschränken.
Ausnutzung
- Keine bekannte Ausnutzung gemeldet; nicht als aktiv ausgenutzt gelistet (KEV: Nein).
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: automatisierbar ja, technische Auswirkung teilweise.
- Patchstack erwartet eine Ausnutzung und weist auf das Potenzial für Massenangriffe hin.
Unsere Empfehlung
- Prüfen, ob eine Website (auch bei Agenturen oder Hosting-Anbietern) Simple File List 6.3.11 oder älter einsetzt.
- Falls das Plugin nicht benötigt wird, entfernen.
- Falls es verbleiben muss, Virtual Patching einsetzen, sofern verfügbar, und vor jeder Änderung verifizierte Offline-Backups von Website und Datenbank erstellen.
- Die Integrität von wp-config.php und der Plugin-Verzeichnisse prüfen und auf unerwartete Dateilöschungen achten.
- Hersteller und Wordfence auf einen offiziellen Fix beobachten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: Arbitrary File Deletion in WordPress Simple File List Plugin patchstack.com
- WPScan: Simple File List vulnerability (CVE-2026-39792) wpscan.com
- HOL Guard: CVE-2026-39792 hol.org
- Strix: CVE-2026-39792 www.strix.ai
- WPScan: Simple File List plugin page wpscan.com
- WPScan: Earlier file deletion vulnerability (CVE-2023-44227) wpscan.com
- Patchstack: Simple File List plugin index patchstack.com
- WordPress.org: Simple File List plugin en-gb.wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:21.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.